Apple corrige bug do iPhone e iPad utilizado em ataque extremamente sofisticado

Na segunda-feira, a Apple lançou atualizações para seus sistemas operacionais móveis iOS e iPadOS, corrigindo uma falha que a empresa disse “poderia ter sido explorada em um ataque extremamente sofisticado contra indivíduos específicos”. Nas notas de lançamento para iOS 18.3.1 e iPadOS 18.3.1, a empresa afirmou que a vulnerabilidade permitia a desativação do Modo Restrito USB “em um dispositivo bloqueado”. Introduzido em 2018, o Modo Restrito USB é uma característica de segurança que bloqueia a capacidade de um iPhone ou iPad enviar dados por meio de uma conexão USB se o dispositivo não for desbloqueado por sete dias. No ano passado, a Apple lançou outra funcionalidade de segurança que reinicia dispositivos se não forem desbloqueados por 72 horas, tornando mais difícil para a aplicação da lei ou criminosos usando ferramentas forenses acessar dados nesses dispositivos.

Com base na linguagem usada em sua atualização de segurança, a Apple sugere que os ataques foram provavelmente realizados com controle físico do dispositivo da pessoa, o que significa que quem estava explorando essa falha teve que se conectar aos dispositivos Apple da pessoa com um dispositivo forense como Cellebrite ou Graykey, dois sistemas que permitem às forças policiais desbloquear e acessar dados armazenados em iPhones e outros dispositivos. A vulnerabilidade foi descoberta por Bill Marczak, pesquisador sênior da Citizen Lab, um grupo da Universidade de Toronto que investiga ciberataques contra a sociedade civil.

Em dezembro de 2024, a Anistia Internacional divulgou um relatório documentando uma série de ataques pelas autoridades sérvias, onde utilizaram o Cellebrite para desbloquear os telefones de ativistas e jornalistas no país, e então instalar malware neles. Pesquisadores de segurança disseram que os dispositivos forenses Cellebrite provavelmente foram usados “amplamente” em indivíduos da sociedade civil, de acordo com a Anistia.

Não está claro quem foi responsável por explorar essa falha e contra quem foi usada. Mas houve casos documentados no passado em que agências de aplicação da lei usaram ferramentas forenses, que normalmente exploram falhas zero-day em dispositivos como o iPhone, para desbloquear os dispositivos e acessar os dados internos.